Los ataques conducen a Ohio a establecer nuevos protocolos de seguridad
Un año después de que la ciudad de Colón se convirtió en víctima de un ataque masivo de ransomware, Ohio ahora requiere que cada agencia gubernamental implemente un programa de ciberseguridad para proteger sus sistemas informáticos. Esta medida se aplica a los condados, ciudades, distritos escolares y municipios.
Los gobiernos locales deben establecer requisitos de capacitación de ciberseguridad para todos los empleados. La ley también establece que los funcionarios locales informan ataques cibernéticos al Departamento de Seguridad Pública de Ohio dentro de los siete días posteriores a la descubrimiento de la violación. Además, los funcionarios solo pueden pagar rescates con la aprobación de la legislatura del gobierno.
El origen de la política
Este es todo el impacto de un ataque cibernético en los sistemas de TI de Columbus en julio pasado. Las pandillas de ransomware Rhysida, con sede en Rusia, se dan cuenta de la responsabilidad de decir que han robado bases de datos que contienen datos confidenciales, incluidos los certificados de empleados y los videos de las cámaras de la ciudad. Según los informes, los datos robados incluyeron nombres, fechas de nacimiento, números de seguro social, detalles de la cuenta bancaria e incluso registros de las interacciones de los residentes con los servicios de la ciudad.
Rhysida requiere datos robados de 30 bitcoins. No está claro si Columbus alguna vez ha pagado todo o parte del rescate, pero el alcalde anunció más tarde que los datos pueden ser “corruptos” e “inutilizables”.
“Las medidas crecientes de los ataques cibernéticos han causado que el ransomware se dirige a municipios regionales y comunitarios, departamentos de educación, escuelas y gobiernos”, dijo Tracy Goldberg, directora de seguridad cibernética de Javelin Strategy and Research. “Este tipo de objetivos han sido durante mucho tiempo el fruto de los cibercriminales. La importancia de los devastadores ataques de ransomware no debe llevarse a cabo en las entidades gubernamentales para lograr la importancia de la ciberseguridad”.
Un nuevo enfoque de fideicomiso de cero
Columbus ahora lanza una red de confianza cero que autentica estrictamente a cualquiera que acceda al sistema de la ciudad, incluidos todos los empleados de la ciudad. Bajo el modelo de valor cero, ningún usuario o dispositivo confía automáticamente tanto dentro como fuera de la organización, por lo que cada solicitud de acceso requiere múltiples autenticaciones.
Esta política es solo el primer paso hacia un programa integral de ciberseguridad.
“Es interesante que el gobernador anuncie públicamente que la ciberseguridad requiere la ejecución de una seguridad y capacitación más sólidas, pero a menos que estas nuevas tareas tengan pautas de seguridad cibernética procesables y alcanzables, es poco probable que la declaración tenga algún impacto real”. “Zero Trust es un mínimo, pero las organizaciones no pueden confiar en tareas regulatorias para implementar estándares de ciberseguridad más fuertes. Zero Trust debe ser un cambio cultural, que comienza con C-Suite”.
